日立数据系统公司（HDS）：存储安全领域的先锋

    近年来，随着风险因素不断涌现，全世界各种规模的企业在信息安全产品与服务上的支出都显示出稳步增长。业务主管们终于认识到，安全防范措施和电、暖气和电话一样，是企业运行必需的一项开支。 尽管如此，最近的一份ESG研究报告显示企业在存储安全方面的支出仍远远落后于其它IT功能领域的支出（参见ESG 2005年研究报告《网络安全与入侵防范》）。

    为何企业在存储安全上的支出仍远远落后于其它呢？至今，IT专业人员仍认为基于主机的安全措施能保护服务器后的所有磁盘驱动器；存储专业人员仍专注于性能和可用性。事实上，他们对信息安全过程和技术只有一些粗略的了解。这种对存储安全的漠视在过去并不显得那么危险，因为那时只会偶尔发生内部破坏或磁带丢失，存储安全并不构成大问题。

    然而，时代已经变了。今天，对存储安全的漠视会对企业的业务运营和机密数据的保护构成威胁。为什么存储安全变的如此重要？原因如下：

1. 存储成了一种网络服务。现在的存储系统运在交换式光纤通道或IP网络上，由多台主机共享，虽然提高了容量利用率和规模，但包含许多不安全的光纤通道交换机、管理站和IP接口。坏人只需掌握稍多一点有关知识，就能够窃取知识产权或其他私密数据。
2. 信息生命期管理 (ILM) 需要安全。ILM带来策略管理和存储智能，使企业按需在分布在不同位置的设备之间移动数据。存储主管们意识到，为了保护数据完整性和机密性，私密数据的复制和传输必须有强大的安全支持。正如ESG常说的，没有安全，ILM就会“来不及抢救就死亡”（DOA）。
3. 有关监管规定要求企业进行内部控制，并提供相关报告。《Sarbanes-Oxley Act of 2002》等政府法规要求企业批露谁接触了存储系统、做了什么等信息，这意味着企业必须采取正式流程、固化的配置、基于角色的管理和持续的事件记录等措施。

    需要重视存储安全措施的不只是IT主管和工作人员，整个存储行业都必须理解，安全正迅速成为其“入门费”。如果不能以强有力的安全防御措施来增强自己的产品性能和服务，无论原先多么成功的厂商也会丢掉饭碗。

    安全是HDS的一个标准运作步骤

    与那些现在才渐渐认识到安全重要性的厂商不同，HDS及其母公司日立有限公司长期以来一直都把安全因素考虑进其产品设计、客户支持及其企业文化中：

    将安全融入产品规范中。HDS技术办公室 (TO) 负责识别安全需求，并将其融入产品开发计划中，当规划工作通过审阅监管要求后，再将其与ISO 17799、COSO和CobiT等安全框架相对应来完成。HDS还不断评估更深层的用户需求，确定某个特殊的客户群体或行业是否具有特殊安全要求。例如，安全与虚拟化要求的合并，引导HDS选择了基于控制器的虚拟化方案，避免在应用与存储设备之间插入代理、打破数据包和重定向I/O的有关潜在安全威胁。

    业界突破：日立数据通用虚拟化层

    总之，HDS认为安全就像质量一样，是产品的一个部分，并且认为核心安全功能不应增加用户额外成本。

    在开发过程中开展阶段性安全检查和测试。日立在HDS的指导下采用了“ISO/IEC 21827 21827:2002系统安全工程——功能成熟模型 (SSE-CCM)”，将最佳安全措施引入其产品开发项目中，安全测试从一个特设过程变成了QA阶段的一项正式的日常步骤。

    对存储设备开发员开展安全培训。日立要求其工程师每年参加一次关于安全意识与最佳安全措施的一套培训课程。HDS还积极参加了存储网络行业协会 (SNIA) 的工作，并使员工得以接受SNIA辅导课程。

    积极参与领先全球安全组织的工作。HDS所参与的全球领先安全组织工作包括可信计算组织 (TCG)、电气电子工程师协会 (IEEE) 存储安全工作组 (P1619) 和国际信息技术标准委员会 (INCITS) T11及CS1（光纤通道安全协议与电子安全）等。

    聘用专业存储安全战略师。HDS是唯一聘用经过认证的安全专员的存储公司。该专员担任公司存储安全课题专家，发挥战略师的作用，其专业性使HDS得以走在用户需求之前，从而在存储安全领域位居领先地位。

    广泛应用的HDS安全技术

    HDS的产品具备了满足监管要求所必需的安全性能，其中包括：

1. 一种将设备管理界面与数据隔离的设计。许多厂商让其安全系统在企业LAN上敞开大门，而坏人只需要基本的IP地址扫描工具或SNMP MIB信息即可攻入。HDS则避免了让设备管理界面看到数据，从而消除风险，达到防范知识产权窃贼的目的。
2. 安全密码管理设计。目前HDS的设备以一种内部方式来管理密码。HDS还计划过渡到基于角色的访问控制，以促进职责的分离，为确定谁做了什么提供审计踪迹。现在HDS可以将其日志转储到一个外部日志记录服务器中，不久后它还将为基于Transactional的标准Syslog提供支持。此外，HDS还计划支持基于RADIUS、Kerberos和2因子令牌等标准的现有身份验证平台。
3. 支持SMI-S。日立的管理平台支持SMI-S 1.0，可以通过SSL v3，实现设备和管理服务器之间的安全通信。HDS即将推出对SMI-S 1.1的支持，用TLS 1.0实现安全通信。
4. 安全远程管理。目前HDS的远程支持依赖于模拟调制解调器，它还可以帮助用户通过一个调制解调器库建立安全的点对点连接，防止数据篡改行为。另外，HDS只允许通过远程连接来提供设备状态数据，不访问生产数据。日立还将在近期支持基于IP的远程支持，从而发挥VLAN和IP-Sec等标准IP安全技术的作用。

    此外，HDS还计划尽早实现支持光纤通道安全协议 (FC-SP)。HDS估计，该标准将在2006年初获得ANSI批准，并承诺在之后的几个月内，使其产品达到FC-SP要求。

    日立的“达标”产品、其在增强未来产品安全性能上的不间断投入，及其与常见企业安全基础设施的整合工作，均展示了日立在存储安全领域不懈努力所取得的成果。ESG认为，日立数据系统公司是当今存储安全技术领域的一大先锋，并相信它将在未来继续保持其行业领先地位。